Veille sécuritéCMS & e-commerce
P3Élevée
Contact Form Extender for Divi Builder permet la suppression de fichiers arbitraires en raison d’une validation insuffisante des chemins. Toutes les versions jusqu’à 1.0.6 incluse sont concernées; l’action AJAX et son nonce sont accessibles depuis une page publique, ce qui permet une exploitation sans authentification.
WordPress
IdentifiantCVE-2026-120559
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120559
Analyse technique
La suppression de fichiers arbitraires peut, dans certaines circonstances, conduire à une exécution de code, par exemple si un fichier essentiel tel que wp-config.php est supprimé.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03.
ImpactLa suppression de fichiers du serveur peut compromettre le fonctionnement ou la sécurité du site.
Versions affectéesJusqu’à la version 1.0.6 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,67% · percentile 52,2%
Publication2026-11-03T05:18:33.230Z
Mise à jour2026-11-03T05:18:33.397Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; en attendant, désactiver le plugin si cette fonctionnalité n’est pas indispensable.
Sources
Priorisation DFS : P3 · 1 source(s).